Website-Sicherheit

Sicherheitsaudit für Websites

Wir machen nicht alles: Wir schauen, was von außen an deinem Onlineshop sichtbar ist, und melden uns, bevor Google sich meldet.

Sicherheitsprüfung, Vorfallanalyse und monatliche Überwachung für WordPress- und WooCommerce-Shops.

Schnelldiagnose anfragen So arbeiten wir

60.000 HUF, der Betrag wird auf die Sicherheitsprüfung angerechnet.

Drei Leistungen, ein Team

  • Prüfung

    Wir suchen die Schwachstellen deiner Website oder deines Onlineshops.

  • Vorfallbehandlung

    Wenn es schon brennt: Wir finden heraus, was passiert ist, und stellen die Seite wieder her.

  • Laufende Überwachung

    Wenn du möchtest, passen wir danach dauerhaft auf deine Seite auf.

So arbeiten wir

Die Prüfung von außen

Zwölf Schritte, jeder aus einer öffentlichen Quelle. Der Quellcode der Website und die Antwort-Header. Die von Suchmaschinen indexierten Inhalte. DNS und E-Mail-Einstellungen, darunter die Frage, ob sich im Namen deiner Domain E-Mails fälschen lassen. Der Zustand von Zertifikat und Verschlüsselung. Vergessene Subdomains aus den öffentlichen Zertifikatsprotokollen. Und öffentlich bekannte Schwachstellen zu den erkannten Versionsnummern.

Eine Regel bestimmt alles: Die Antwort des Servers entscheidet. Was er ohne Authentifizierung ausliefert, ist öffentlich. Was er ablehnt, fassen wir nicht an.

Was wir ohne Erlaubnis nie tun

  • Anmeldeversuche
  • Dateien herunterladen
  • Pfade erraten
  • Portscans
  • Aktive Schwachstellenscans
  • Eine Lücke „beweisen“, indem wir sie ausnutzen

Mit Erlaubnis sind das legitime Werkzeuge der Branche: Mit schriftlichem Auftrag, genauem Umfang und Zeitfenster setzen wir sie auch ein. Ohne Erlaubnis nicht.

Was von außen sichtbar ist, ist die Oberfläche. Was im Server steckt, zeigt nur eine Prüfung von innen, und dafür braucht es deinen schriftlichen Auftrag.

So beginnt die Zusammenarbeit

  1. Kontakt

    Schreib uns, um welche Website oder welchen Onlineshop es geht und was das Problem ist, falls es schon eins gibt.

  2. Zugang ohne Passwort

    Wir arbeiten über unsere selbst entwickelte Claude Code Bridge: Du musst kein FTP-, Datenbank- oder Admin-Passwort herausgeben und kannst den Zugang jederzeit widerrufen.

  3. Ergebnis und Überwachung

    Wir zeigen dir, was wir gefunden haben, stellen wieder her, was nötig ist, und passen danach, wenn du möchtest, dauerhaft auf deine Seite auf.

Die technischen Details des Zugangs findest du auf claudecodebridge.com (auf Englisch).

Die acht Schritte der Arbeit von innen

  1. Ich gleiche den Systemkern mit den offiziellen Prüfsummen ab. In einem Fall hat allein das die gesamte Infektion aufgedeckt.

  2. Den Einstiegspunkt verfolge ich in den Logs zurück, auf die Sekunde genau. Ohne ihn weiß man nicht, was man aufräumt und wann es vorbei ist.

  3. Jedes Muster läuft zuerst als Trockenlauf, und die Liste prüft ein Mensch, Datei für Datei.

  4. Beim Aufräumen wird nichts gelöscht: Alles kommt in Quarantäne, umkehrbar.

  5. Ich schließe den Weg hinein: Passwörter, Sitzungen, Schlüssel, Hosting-Zugänge.

  6. Ohne das bringt das Aufräumen nur, dass wir am nächsten Tag von vorn anfangen können.

  7. Nach der Arbeit messe ich erneut, mit derselben Methode.

  8. In den Bericht kommt die Messung, nicht meine Meinung.

Was du am Ende in der Hand hast

  • Einen schriftlichen Bericht mit Zeitpunkten und Messungen, den auch ein anderer Fachmann nachprüfen kann.
  • Eine verständliche Zusammenfassung: was passiert ist, was nicht passiert ist, was zu tun ist und was dringend ist.
  • Eine Liste dessen, was nicht passiert ist, Punkt für Punkt. Genau dieser Teil fehlt anderswo meistens.
  • Eine Indikatorenliste, mit der sich deine anderen Seiten nach demselben Muster prüfen lassen.

Fälle

Einundzwanzig Fälle, ohne Kundennamen

Aus echten Untersuchungen. Hinter jeder Zahl steht eine Messung.

99 Sek.
So viel Zeit verging von einer erfolgreichen Anmeldung bis zur vollständigen Übernahme, ohne eine einzige auffällige Aktion. Der Angreifer hat nichts gehackt: Er hat sich einfach angemeldet.
51 Tage
So lange lief ein Angriff unbemerkt, bis jemand von außen Bescheid gab.
23.073
Gefälschte Produktseiten erschienen in der Suchmaschine unter einer ungarischen Domain. Menschliche Besucher haben davon nichts gesehen.
100+
Durchläufe, null Treffer. Der Malware-Scanner lief jede Nacht auf dem Server, er hat nur das falsche Verzeichnis überwacht.

Fünf Erkenntnisse aus allen einundzwanzig Fällen

  1. Bei den meisten schweren Infektionen war der Einstiegspunkt kein Softwarefehler, sondern ein gültiges Passwort. Dagegen schützen Updates allein nicht.

  2. Eine infizierte Seite funktioniert meist tadellos. Wer auf Symptome wartet, fängt zu spät an.

  3. Der vorhandene Schutz funktioniert oft nur auf dem Papier: Er schaut an die falsche Stelle, ist abgeschaltet oder greift wegen eines einzigen Zeichens nicht.

  4. Das Log ist das Wichtigste, was man bei einem Vorfall haben kann, und es lässt sich nicht rückwirkend nachholen.

  5. Die Reihenfolge der Wiederherstellung ist genauso wichtig wie das Aufräumen selbst. In der falschen Reihenfolge ist die ganze Arbeit umsonst, und von außen sieht man das nicht.

Der Satz, den wir am häufigsten hören: „Bei mir gibt es eh nichts zu holen.“ Der Angreifer will nicht die Daten, sondern die funktionierende Website mit gutem Ruf als Ausgangspunkt. Das hat einen Preis, und der ist nicht null.

Ich möchte das ganze Material, alle 21 Fälle

Einundzwanzig, nicht achtundzwanzig. Die Fallsammlung ist größer, ausgearbeitet sind aber nur 21. Wir nennen keine Zahl, die wir auf Nachfrage nicht belegen können.

Preise

Wir schreiben sie hin, weil es nichts zu verbergen gibt. Alle Preise sind netto, ohne Mehrwertsteuer.

Schnelldiagnose

3 Stunden, kurzer schriftlicher Zustandsbericht: Gibt es ein Problem, und wenn ja, wie groß ist es? Der Preis wird auf die Sicherheitsprüfung angerechnet, wenn du sie beauftragst.

60.000 HUFSchnelldiagnose anfragen

Einmalige Leistungen

  • SicherheitsprüfungVollständiges Datei- und Datenbank-Audit, Dokumentation, Maßnahmenplan280.000 HUF
  • VorfallanalyseSpurensicherung, Einstiegspunkt, Zeitablauf, vollständige Befundlisteab 550.000 HUF
  • Reparatur, BereinigungTagessatz, mit vorheriger Schätzung200.000 HUF / Tag
  • HardeningHärtung ohne Infektion150.000 HUF
  • Blacklist-EntfernungBereinigung von Suchmaschinen-Spam120.000 HUF
  • EilauftragInnerhalb von 24–48 Stunden+80 %

Für die Reparatur nennen wir vor der Prüfung keinen Festpreis. Bis dahin ist der Umfang nicht absehbar, und wer vorab einen Festpreis nennt, rät entweder oder hat dir das Risiko mit eingepreist.

Überwachung

  • Basis

    45.000 HUF / Monat

    Monatliche Prüfung, monatlicher Bericht

  • Empfohlen

    Standard

    90.000 HUF / Monat

    Wöchentliche Prüfung, 48 Stunden Reaktionszeit, vierteljährliches Tiefenaudit

  • Kritisch

    180.000 HUF / Monat

    24 Stunden Reaktionszeit, 2 Stunden Vorfallkontingent pro Monat

Eine Bereinigung ist eine Bestandsaufnahme, kein Schutz. Heute ist es so: Wenn etwas nicht stimmt, bemerkt es ein Außenstehender, Google, der Hoster oder ein Kunde. Ein Überwachungsvertrag sorgt nur dafür, dass wir uns zuerst melden.

Wer führt die Prüfung durch?

Gábor Vidovics, Incident Responder für Website-Sicherheit

Gábor Vidovics

Incident Responder für Website-Sicherheit

Ich arbeite seit fast dreißig Jahren in der IT, mehr als zwanzig davon als Entwickler und technischer Leiter. Heute untersuche ich gehackte, langsam gewordene oder verdächtig agierende Websites, stelle sie wieder her und sorge dafür, dass auf den bereinigten Seiten danach nichts mehr passiert.

Ich breche das System nicht auf, ich verstehe es: Anhand von Logs, Dateien und Datenbank verfolge ich, was passiert ist, wo der Angreifer hineingekommen ist und was geschlossen werden muss, damit er nicht zurückkommt. Ich messe, statt zu raten; ich stelle unter Quarantäne, statt zu löschen: Deine Daten bleiben auch während der Untersuchung erhalten.

Ich habe mit vielerlei Code gearbeitet, von nativem PHP bis zu den großen Frameworks, deshalb übernehme ich auch individuelle Seiten, die „sich keiner mehr anzufassen traut“. Bei geplanter Wartung arbeite ich genauso sorgfältig wie dann, wenn es brennt, und auch dann bringe ich den Fall bis zum Abschluss.

Die Wednesday Agency, eine Marke der 30km.hu Kft., ist eine seit acht Jahren tätige Online-Marketing-Agentur mit Präsenz in Budapest und London. Handelsregisternummer: 07-09-029835 · Steuernummer: 24382315-2-07.

Mehr über die ganze Agentur (auf Englisch)(öffnet in neuem Tab)

Lass uns reden

Wenn es gerade akut ist (Google hat gewarnt, der Hoster hat sich gemeldet oder du siehst etwas Seltsames auf der Seite), schreib uns und setz das Wort „DRINGEND“ in die Betreffzeile. Solche Anfragen schauen wir uns außer der Reihe an.

info@30km.hu Audit anfragen

An Werktagen antworten wir innerhalb von 6 Stunden. Schreib uns deine Domain und was du beobachtest: Für die erste Antwort reicht das.

Wir versprechen kein 24/7, weil wir das nicht halten könnten. Was wir zusagen, halten wir.

E-Mail Schreib uns